PHP2Shell: cómo la IA encontró fallos críticos en PHP y qué significa el 70 % de Internet

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones extraordinarias para corregir dos vulnerabilidades críticas en el propio motor del lenguaje. Las fallas, conocidas conjuntamente como PHP2Shell, se identifican como CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación de 9,2 sobre 10 en CVSS 4.0 y pueden permitir ejecución remota de código sin autenticación bajo determinadas condiciones.

La noticia también tiene un protagonista poco habitual: la inteligencia artificial utilizada por equipos de investigación defensiva. Calif, OpenAI y Wiz documentaron cómo modelos de frontera ayudaron a transformar defectos muy antiguos y difíciles de explotar en demostraciones prácticas. Los mantenedores de PHP coordinaron las correcciones, con apoyo de investigadores y proveedores de infraestructura.

Los titulares hablan de un fallo que amenaza al «70 % de Internet». Es una forma llamativa de describir el alcance potencial; no significa que el 70 % de los sitios haya sido comprometido, ni que Internet esté a punto de apagarse. Entender la diferencia es tan importante como instalar los parches.

¿Qué se descubrió realmente?

El problema no está en una contraseña débil ni en un plugin concreto de WordPress. Se encuentra en la administración de memoria y el tratamiento de errores fatales del núcleo de PHP. Por eso afecta a múltiples aplicaciones construidas sobre él, aunque su código de negocio esté bien escrito.

Los dos identificadores agrupan mecanismos relacionados pero distintos:

Vulnerabilidad	Qué sucede	Riesgo demostrado
CVE-2026-109618	Un error de falta de memoria (out-of-memory, OOM) interrumpe una petición cuando ciertas estructuras aún no están completamente inicializadas. La limpieza posterior puede tratarlas como válidas.	Corrupción de memoria y ejecución remota de código.
CVE-2026-109619	Un estado global puede conservar referencias a memoria liberada de una petición anterior. Una petición posterior reutiliza ese estado obsoleto.	Use-after-free, exposición o corrupción de memoria y, en escenarios demostrados, ejecución remota.

Hay una particularidad importante: en configuraciones de Apache con mod_php, una petición no autenticada puede activar rutas vulnerables antes de que se ejecute el código de la aplicación. También existe exposición en otros modos de ejecución, incluido PHP-FPM; no es correcto pensar que cambiar de servidor web elimina automáticamente el problema.

Los investigadores de Wiz demostraron explotación contra entornos con WordPress, Drupal y Joomla. Eso no convierte a esos gestores de contenido en el origen del fallo: son ejemplos de aplicaciones que dependen del motor afectado.

¿Por qué se habla del 70 % de Internet?

PHP se utiliza en aproximadamente siete de cada diez sitios web según las estimaciones de uso ampliamente citadas por los investigadores y proveedores de infraestructura. Pero hay tres magnitudes distintas que no deben confundirse:

Adopción del lenguaje: cuántos sitios usan PHP de alguna forma.
Exposición técnica: cuántos ejecutan una versión o un paquete sin la corrección correspondiente, en una configuración alcanzable.
Compromiso real: cuántos han sufrido un ataque exitoso.

La primera cifra no mide automáticamente las otras dos. Un WordPress alojado en una plataforma que ya aplicó el parche puede estar protegido. Un servidor con PHP obsoleto, incluso si tiene pocos visitantes, puede seguir siendo vulnerable.

La dimensión del incidente es grave precisamente por la ubiquidad de la dependencia: un defecto del lenguaje se propaga a miles de productos, instalaciones y proveedores, sin necesitar un error independiente en cada aplicación.

El papel de los modelos de IA: descubrimiento, no magia

La PHP Foundation reconoce que el problema relacionado con errores OOM ya había dado señales durante una auditoría de 2024. Se conocían indicios de una posible explotación, pero todavía no existía una ruta práctica y el diseño de una corrección compatible era difícil. Las limitaciones de recursos y del proceso de decisión de su equipo también retrasaron el trabajo.

Ese antecedente cambia la lectura de la historia: la IA no creó el defecto ni fue la primera en sospechar su existencia. Su contribución más relevante fue ayudar a los investigadores a validar su impacto, enlazar rutas de fallo, construir pruebas reproducibles y acelerar la respuesta.

Según los participantes:

Calif utilizó GPT-5.6 Sol dentro de la iniciativa Patch the Planet de OpenAI. La PHP Foundation sitúa uno de los informes clave de Calif y otro independiente de OpenAI el 11 de agosto de 2026.
Wiz informó que combinó Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol. Detectó sus vulnerabilidades en agosto y reportó los hallazgos al equipo de PHP el 24 de agosto. Su investigación técnica detalla demostraciones en varios gestores de contenido.
Los mantenedores humanos de PHP evaluaron los informes, corrigieron el motor, coordinaron pruebas de regresión y publicaron las versiones actualizadas. No se trató de un parche aplicado autónomamente por un modelo.

La enseñanza no es que cualquier chatbot pueda comprometer un servidor. Es que, con herramientas, entornos de prueba, experiencia de seguridad y modelos avanzados, se reduce el coste de investigación de vulnerabilidades complejas. Esa ventaja puede favorecer tanto a la defensa como al ataque.

La ventana defensiva y la filtración

La divulgación coordinada tenía como objetivo el 22 de octubre, pero el 20 de octubre comenzaron a circular los identificadores CVE y datos incorrectos sobre su gravedad. La PHP Foundation adelanta que una publicación accidental de material demostrativo y la divulgación prematura de imágenes con parches complicaron el embargo.

Por eso la publicación se adelantó al 21 de octubre de 2026.

Cloudflare informó que preparó reglas de firewall de aplicaciones web (WAF), las activó para sus clientes y observó tráfico de ataque y variaciones de las solicitudes. Observar intentos no equivale a confirmar compromisos generalizados. El propio equipo de PHP dijo que no había identificado pruebas de explotación funcional en el momento de su publicación; se trata de observaciones de alcance y momento diferentes.

La tensión central es evidente: descubrir fallos más rápido solo beneficia a los defensores si el ciclo entre hallazgo, parche y despliegue también se acelera.

Qué debe hacer quien administra servidores

El aviso oficial de PHP recomienda actualizar inmediatamente. Para las ramas con lanzamiento oficial, estas son las versiones corregidas:

Rama de PHP	Versión corregida
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

Las ramas 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP. Algunas distribuciones y proveedores de soporte extendido publican correcciones retroportadas (backports), por lo que un número de versión inferior en Ubuntu o Debian no demuestra por sí solo que el paquete siga vulnerable. Hay que contrastar el paquete y su aviso de seguridad con el proveedor.

Una respuesta responsable prioriza:

Inventariar todas las instancias de PHP expuestas, incluidas PHP-FPM, mod_php, contenedores, imágenes, appliances y servicios integrados. php -v muestra la versión del ejecutable consultado, no necesariamente la del proceso que atiende el sitio.
Instalar el paquete corregido del proveedor o actualizar a una de las versiones oficiales reparadas. En entornos administrados, confirmar qué actualizó realmente el proveedor.
Reiniciar los trabajadores o servicios que mantienen cargada la versión antigua y verificar el runtime en uso, no únicamente el paquete instalado.
Revisar los registros de seguridad, intentos de explotación e indicadores de compromiso; actualizar corrige la exposición futura, pero no deshace por sí solo un incidente anterior.
Tratar los WAF y ajustes de configuración como capas transitorias, no como sustitutos del parche. PHP indica expresamente que no existe una mitigación alternativa completa.

En Ubuntu, Canonical publicó paquetes corregidos, incluidos backports para distintas versiones de su distribución. La disponibilidad exacta depende del soporte y repositorios configurados en cada sistema.

Nota de alcance: si una aplicación se ejecuta exclusivamente sobre Python, Node.js u otro runtime, sin ningún componente PHP en su superficie de servicio, estos dos CVE no afectan directamente a ese runtime. Conviene verificar dependencias indirectas antes de descartarlos.

Qué cambia a partir de ahora

PHP2Shell muestra dos realidades simultáneas: que los defectos de memoria pueden permanecer años en infraestructura crítica y que la IA puede volver económicamente viable investigar cadenas de explotación que antes requerían esfuerzos excepcionales.

También muestra que la respuesta no puede depender solo de modelos más poderosos: hacen falta mantenedores financiados, canales de divulgación responsable, proveedores capaces de distribuir parches, pruebas de regresión y administradores que los instalen.

La noticia no es que la IA haya «derribado el 70 % de Internet». Es que ha cambiado el ritmo al que podemos encontrar —y potencialmente explotar— defectos profundamente enterrados en el software del que depende Internet. La prueba inmediata para la industria no está en el titular, sino en la velocidad y cobertura del parcheo.